[논문 리뷰] A Taxonomy to Unify Fault Tolerance Regimes for Automotive Systems: Defining Fail-Operational, Fail-Degraded, and Fail-Safe

Torben Stolte, Stefan Ackermann외 5명|arXiv (Cornell University)|2021. 06. 21.

Safety Systems Engineering in Autonomy참고 문헌 54인용 수 42

한 줄 요약

이 논문은 자동차 시스템에서 장애 내성 레지ime인 fail-operational, fail-degraded, fail-safe를 통합하기 위해 표준화된 분류 체계를 제안한다. ISO 26262 및 시스템 공학 원칙에 기반하여, 기능성, 정상 성능 및 가용 성능, 그리고 개선된 안전 상태 정의라는 네 가지 기준을 도입함으로써 계층적 시스템 수준 전반에서 일관된 분류가 가능하게 하며, 두 가지 자동차 사례를 통해 검증된다.

ABSTRACT

This paper presents a taxonomy that allows defining the fault tolerance regimes fail-operational, fail-degraded, and fail-safe in the context of automotive systems. Fault tolerance regimes such as these are widely used in recent publications related to automated driving, yet without definitions. This largely holds true for automotive safety standards, too. We show that fault tolerance regimes defined in scientific publications related to the automotive domain are partially ambiguous as well as taxonomically unrelated. The presented taxonomy is based on terminology stemming from ISO 26262 as well as from systems engineering. It uses four criteria to distinguish fault tolerance regimes. In addition to fail-operational, fail-degraded, and fail-safe, the core terminology consists of operational and fail-unsafe. These terms are supported by definitions of available performance, nominal performance, functionality, and a concise definition of the safe state. For verification, we show by means of two examples from the automotive domain that the taxonomy can be applied to hierarchical systems of different complexity.

연구 동기 및 목표

• 자동차 안전 문헌 및 표준에서 장애 내성 레지ime에 대한 표준화된 정의 부족을 해결한다.
• 출판물 및 표준 전반에서 fail-operational, fail-degraded, fail-safe의 정의에 대한 일관성 부족 및 모호성을 해결한다.
• 자동차 시스템의 구성 요소에서 차량 수준에 이르기까지 다양한 시스템 수준에 적용 가능한 일관되고 검증 가능한 분류 체계를 수립한다.
• 기능성, 정상 성능, 가용 성능, 안전 상태와 같은 핵심 용어에 대해 명확하고 형식적인 정의를 제공하여 안전 논증을 지원한다.
• 특히 SAE Level 4+ 자율 주행 차량을 위한 다학제적 개발 프로젝트 및 안전 핵심 시스템에서 일관된 소통 및 사양 수립을 가능하게 한다.

제안 방법

• ISO 26262 및 시스템 공학 용어를 기반으로 하여, 기능성, 정상 성능, 가용 성능, 안전 상태라는 네 가지 핵심 기준을 사용한 분류 체계를 개발한다.
• 안전 상태를 시스템 동작으로 인해 피해가 발생하지 않는 조건으로 정의함으로써, 이전 표준인 ISO 26262 및 ISO/TR 4804에서의 일관성 부족을 해결한다.
• 기능성 및 안전 결과에 기반해 장애 내성 레지ime을 구분하는 데 핵심 개념이 되는 '운영 중' 및 '장애 불안전' 용어를 도입한다.
• 분류 체계를 두 가지 자동차 사례—스티어 바이 와이어 시스템 및 차량 제어 시스템—에 적용하여, 다양한 아키텍처 수준에서의 활용 가능성을 입증한다.
• 정의된 장애 조건 하에서의 장애 조합 및 시스템 동작 분석을 통해 분류 체계의 일관성 및 적용 가능성을 검증한다.
• 특히 ISO 26262와의 호환성을 확보하면서도, 차량 수준 분석을 초월해 하위시스템 및 구성 요소 수준까지의 적용 가능성을 확장한다.

실험 결과

연구 질문

• RQ1 자동차 시스템 맥락에서 fail-operational, fail-degraded, fail-safe와 같은 장애 내성 레지ime을 일관되게 정의할 수 있는 방법은 무엇인가? (모호성 제거를 위해)
• RQ2 안전 공 ing 및 검증을 지원할 수 있도록 장애 내성 레지ime을 구분하기 위해 필요한 기준은 무엇인가?
• RQ3 기존 표준에서의 모순를 해결하기 위해 안전 상태 개념을 어떻게 형식적이고 명확하게 정의할 수 있는가?
• RQ4 제안된 분류 체계는 구성 요소에서 전체 차량 수준에 이르기까지 다양한 시스템 수준에 얼마나 널리 적용될 수 있는가?
• RQ5 이 분류 체계는 다중 동시 장애 조건 하에서 시스템 평가에 사용될 수 있으며, SAE Level 4+ 자율 주행 차량의 안전 논증을 어떻게 지원하는가?

주요 결과

• 이 논문은 네 가지 기준—기능성, 정상 성능, 가용 성능, 그리고 개선된 안전 상태 정의—를 사용하여 장애 내성 레지ime을 구분하는 형식적 분류 체계를 수립한다.
• 안전 상태는 시스템 동작으로 인해 피해가 발생하지 않는 조건으로 정의되며, 이는 ISO 26262, ISO/DIS 21448, 및 ISO/TR 4804에서 발견된 일관성 부족 문제를 해결한다.
• 분류 체계는 특정 장애 조합 하에서 시스템의 일관된 분류를 가능하게 하여, 장애 내성 레지ime이 일반적으로 적용되는 것이 아니라 맥락에 따라 적용됨을 보장한다.
• 분류 체계는 스티어 바이 와이어 시스템 및 차량 제어 시스템이라는 두 가지 자동차 사례를 통해 검증되었으며, 다양한 시스템 수준에서의 적용 가능성을 입증한다.
• 제안된 정의는 ISO 26262 및 ISO/TR 4804와 호환되지만, 하위시스템 및 구성 요소 수준까지의 적용 가능성을 제공함으로써 그 범위를 초월한다.
• 분류 체계는 인간의 대체 조치에 의존하지 않고 장애 내성 행동을 형식화함으로써, SAE Level 4+ 자율 주행 차량의 안전 논증을 지원한다.